Aqui o que tenho feito e proteger o registro inteiro, sempre antes de gravar eu monto uma string com os valores do registro todo, adiciono uma chave e gero o md5.
Outra coisa que tenho feito e separar as tabelas que gravam dados para arquivos do Paf-ECF das tabelas que uso para trabalhar, por exemplo tenho tabelas para o R02, R03, R04, R05, R06, R07, etc, etc, assim fica mais simples de fazer os testes no dia da homologação, e eu tenho total controle delas e não atrapalha os testes nem as validações.
Quanto aos registros que devem ser protegidos é como o Daniel falou mesmo, na ER tem uma parte que fala direitinho cada um deles, o melhor caminho e seguir por lá mesmo.